CertiK 表示 SMS 是 2FA 中“最容易受到攻擊”的形式

使用 SMS 作為一種雙重身份驗證的形式一直受到加密愛好者的歡迎。 畢竟，許多用戶已經在他們的手機上交易他們的加密貨幣或管理社交頁面，那麼在訪問敏感的金融內容時為什麼不簡單地使用 SMS 進行驗證呢？

不幸的是，騙子最近開始通過 SIM 交換或將一個人的 SIM 卡重新路由到黑客擁有的手機的過程來利用隱藏在這一安全層下的財富。 在全球許多司法管轄區，電信員工不會要求政府 ID、面部識別或社會安全號碼來處理簡單的移植請求。

結合對公開可用個人信息的快速搜索（對於 Web3 利益相關者來說很常見）和易於猜測的恢復問題，冒充者可以快速將帳戶的 SMS 2FA 移植到他們的手機上，並開始將其用於不法手段。 今年早些時候，許多加密 Youtuber 成為 SIM 交換攻擊的受害者，其中 黑客發布了詐騙視頻 在他們的頻道上顯示文字指示觀眾向黑客的錢包匯款。 XNUMX 月，Solana 不可替代令牌 (NFT) 項目 Duppies 的官方 Twitter 帳戶通過 SIM-Swap 遭到入侵，黑客在推特上發布了指向假隱形薄荷的鏈接。

關於這件事，Cointelegraph 採訪了 CertiK 的安全專家 Jesse Leclere。 作為區塊鏈安全領域的領導者，CertiK 自 3,600 年以來已幫助 360 多個項目保護了價值 66,000 億美元的數字資產，並檢測了超過 2018 個漏洞。以下是 Leclere 所說的：

“短信 2FA 總比沒有好，但它是目前使用的最容易受到攻擊的 2FA 形式。 它的吸引力來自於它的易用性：大多數人在登錄在線平台時要么在手機上，要么就在手邊。 但它對 SIM 卡交換的脆弱性不容小覷。”

Leclerc 解釋說，專用的身份驗證器應用程序，例如 Google Authenticator、Authy 或 Duo，提供了 SMS 2FA 的幾乎所有便利，同時消除了 SIM 交換的風險。 當被問及虛擬卡或 eSIM 卡是否可以規避與 SIM 卡交換相關的網絡釣魚攻擊的風險時，對於 Leclerc，答案是明確的不能：

“必須記住，SIM 交換攻擊依賴於身份欺詐和社會工程。 如果一個不良行為者可以欺騙電信公司的員工，讓他們認為他們是物理 SIM 卡所附號碼的合法所有者，那麼他們也可以為 eSIM 這樣做。

儘管可以通過將 SIM 卡鎖定在手機上來阻止此類攻擊（電信公司也可以解鎖手機），但 Leclere 仍然指出使用物理安全密鑰的黃金標準。 “這些密鑰插入您計算機的 USB 端口，其中一些支持近場通信 (NFC)，以便更輕鬆地與移動設備一起使用，”Leclere 解釋說。 “攻擊者不僅需要知道您的密碼，還需要實際擁有此密鑰才能進入您的帳戶。”

Leclere 指出，在 2017 年強制要求員工使用安全密鑰後，谷歌經歷了零成功的網絡釣魚攻擊。 “但是，它們非常有效，如果您丟失了與您的帳戶相關聯的一個密鑰，您很可能無法重新獲得對它的訪問權限。 將多把鑰匙放在安全的地方很重要，”他補充說。

最後，Leclere 表示，除了使用身份驗證器應用程序或安全密鑰之外，好的密碼管理器還可以輕鬆創建強密碼，而無需在多個站點上重複使用它們。 “與非 SMS 2FA 配對的強而獨特的密碼是帳戶安全的最佳形式，”他說。